ГОСТ Р ИСО/МЭК 27005—2010
Затем, находя пересечение линий значения ценности актива и значения степени вероятности в таблице Е.4,
присваиваются баллы активу/угрозе. Баллы актива/утрозы подсчитываются, чтобы получить итоговые баллы для
актива. Эта цифра может использоваться для проведения различий между активами, составляющими часть сис
темы.
Т а б л и ц а Е.4 — Ценности актива и значения степени вероятности
Значение степени вероятностиЦенность актива
00123
4
112345
223456
334567
445678
Окончательный шаг заключается в подсчете всех итоговых баллов активов системы, чтобы получить баллы
системы. Эта цифра может использоваться для проведения различий между системами и определения того,
защите какой системы следует отдавать предпочтение.
В последующих примерах все значения выбраны случайно.
Предположим, что система С имеет три актива: А1. А2 и АЗ. Также предположим, что существуют две угрозы
У1 и У2, применимые к системе С. Пусть ценность актива А1 будет 3, допустим также, что ценность актива А2
равна 2. а ценность актива АЗ равна 4.
Если дляА1 и У1 степень вероятности угрозы низкая, а простота использования уязвимости средняя, то
значение степени вероятности равно 1 (см. таблицу Е.З).
Баллы для актива>угрозы А1/У1 могут быть выведены из таблицы Е.4 на пересечении линий ценное™ актива
3 и значения степени вероятное™ 1. т. е. равные 4. Аналогичным образом, пусть для А1/У2 степень вероятности
угрозы будет средней, а простота использования уязвимости будет высокой, что дастдля А1/У2 значение 6.
Теперь могут быть вычислены итоговыебаллы актива А1У, т. е. равные 10. Итоговые баллы актива вычисля
ются для каждого актива и применимой угрозы. Итоговые баллы системы вычисляются путем суммирова
ния А1У +А2У +АЗУ. что дает СУ.
Различные системы могут сравниваться для установления приоритетов, а также различных активов в преде
лах одной системы.
Приведенные выше примеры показаны с точки зрения информационных систем, однако аналогичный
подход может быть применен и к бизнес-процессам.
43